CVE-2026-6999BIVOCOM TR321路由器固件版本21.1.1.50中的无线设置组件被发现存在一处跨站脚本攻击（XSS）漏洞。该漏洞的根本原因是对“Network Name SSID”参数缺乏严格的输入过滤和验证机制。攻击者可以通过网络远程发起攻击，向该参数注入恶意的JavaScript脚本代码。由于该攻击需要高权限用户交互，且仅对系统完整性产生低影响，因此CVSS评分为2.4，属于低危漏洞。尽管风险等级不高，但鉴于利用代码已公开，管理员仍需警惕潜在的钓鱼攻击或会话劫持风险。
该漏洞位于BIVOCOM TR321设备的无线设置接口中，具体受影响的参数为用于配置无线网络名称的“Network Name SSID”。在处理用户提交的SSID数据时，应用程序未能执行有效的HTML实体编码或输入清洗，导致特殊字符被直接解析为HTML或JavaScript代码。攻击利用过程要求攻击者首先具备设备的高权限账户（PR:H），登录后台管理系统后，导航至无线设置页面。攻击者将SSID字段修改为包含恶意Payload的值（例如<script>alert(1)</script>）并保存。由于是存储型XSS，恶意脚本被持久化存储在设备配置中。当管理员或其他高权限用户后续访问该无线设置管理页面时，浏览器将解析并执行注入的脚本。虽然攻击范围未改变（S:U），但这可能导致窃取管理员的Session ID、进行未授权操作或篡改页面内容（I:L）。